F5 · BIG-IP Traffic Management Microkernel
CVE-2021-22991
F5 BIG-IP Traffic Management Microkernel Buffer Overflow
Nedir
On BIG-IP versions 16.0.x before 16.0.1.1, 15.1.x before 15.1.2.1, 14.1.x before 14.1.4, 13.1.x before 13.1.3.6, and 12.1.x before 12.1.5.3, undisclosed requests to a virtual server may be incorrectly handled by the Traffic Management Microkernel (TMM) URI normalization, which may trigger a buffer overflow, resulting in a DoS attack. In certain situations, it may theoretically allow bypass of URL based access control or remote code execution (RCE). Note: Software versions which have reached End of Software Development (EoSD) are not evaluated.
CISA: The Traffic Management Microkernel of BIG-IP ASM Risk Engine has a buffer overflow vulnerability, leading to a bypassing of URL-based access controls.
Ne yapmalı
Apply updates per vendor instructions.
ABD federal kurumları için son tarih: 1 Şubat 2022
- CISA listesine eklenme
- 18 Ocak 2022
- Yayımlanma
- 31 Mart 2021
- Önem
- Kritik 9,8 CVSS 3.1
- Önümüzdeki 30 günde saldırı olasılığı (EPSS)
- 62% bilinen tüm açıkların en üstteki 0,8% diliminde
- Zayıflık
- CWE-119
- Daha fazla ayrıntı
- NVD · CVE.org · CISA
Tüm kaynaklar (1)
F5 için istismar edilen diğer açıklar
| Eklenme | Açık | Ürün | Önem | Saldırı olasılığı |
|---|---|---|---|---|
| 22 Eyl 2026 | Heap-based Buffer Overflow | BIG-IP APM | Kritik 9,3 | 25% |
| 27 Mar 2026 | Stack-Based Buffer Overflow | BIG-IP | Kritik 9,3 | 2,3% |
| 31 Eki 2023 | Authentication Bypass | BIG-IP Configuration Utility | Kritik 9,8 | 97% |
| 31 Eki 2023 | SQL Injection | BIG-IP Configuration Utility | Yüksek 8,8 | 4,2% |
| 10 May 2022 | Missing Authentication | BIG-IP | Kritik 9,8 | >99,9% |
| 3 Kas 2021 | Traffic Management User Interface (TMUI) Remote Code Execution | BIG-IP | Kritik 9,8 | >99,9% |
| 3 Kas 2021 | iControl REST Remote Code Execution | BIG-IP and BIG-IQ Centralized Management | Kritik 9,8 | 99,9% |
Kaynaklar: Known Exploited Vulnerabilities (CISA, kamu malı), CVE records (cve.org) ve EPSS (FIRST). Saldırı olasılığı, birinin önümüzdeki 30 günde açığı istismar etmeye çalışacağına dair EPSS tahminidir.